🥇Check Point Gaia R80.40. Vad blir nytt?

En ny version av operativsystemet närmar sig Gaia R80.40. För några veckor sedan startade programmet Early Access, vilket ger tillgång till att testa distributionen. Som vanligt publicerar vi information om vad som är nytt och lyfter fram de punkter som vi anser är mest intressanta. För att hoppa framåt kan jag säga att nyheterna verkligen är betydande. Så det är värt att förbereda sig för en snarlig uppdateringsprocess. Tidigare har vi redan publicerat en artikel om hur man gör detta (för mer information kan man kontakta här). Låt oss gå vidare till ämnet...

Vad är nytt

Här betraktar vi de officiellt tillkännagivna innovationerna. Informationen är hämtad från webbplatsen Check Mates (det officiella Check Point-communityt). Med ert tillstånd kommer jag att undvika att översätta den här texten, eftersom publikationen på Habr tillåter det. Istället kommer jag att lämna mina kommentarer i nästa kapitel.

1. IoT-säkerhet. Nya funktioner som rör internet of things

Samla in IoT-enheter och trafik-attribut från certifierade IoT-upptäcktsmotorer (för närvarande stöds Medigate, CyberMDX, Cynerio, Claroty, Indegy, SAM och Armis).
Konfigurera ett nytt dedikerat Policy Layer för IoT i policystyrningen.
Konfigurera och hantera säkerhetsregler baserat på IoT-enheternas attribut.

2. TLS-inspektionHTTP/2:

HTTP/2 är en uppdatering av HTTP-protokollet. Uppdateringen ger förbättringar i hastighet, effektivitet och säkerhet, vilket resulterar i en bättre användarupplevelse.
Check Points säkerhetsgateway stöder nu HTTP/2 och drar nytta av bättre hastighet och effektivitet samtidigt som den säkerställer fullständig säkerhet, med alla hotförebyggande och åtkomstkontrollblad, samt nya skydd för HTTP/2-protokollet.
Stödet gäller både okrypterad och SSL-krypterad trafik och är fullt integrerat med HTTPS/TLS
inspektionsmöjligheter.

TLS-inspektionslager. Nyheter gällande HTTPS-inspektion:

Ett nytt Policy Layer i SmartConsole som är dedikerat till TLS-inspektion.
Olika TLS-inspektionslager kan användas i olika policypaket.
Dela ett TLS-inspektionslager mellan flera policypaket.
API för TLS-operationer.

3. Hotförebyggande

Övergripande effektivitetsförbättringar för hotförebyggande processer och uppdateringar.
Automatiska uppdateringar till hotutvinningsmotorn.
Dynamiska, domänspecifika och uppdateringsbara objekt kan nu användas i hotförebyggande och TLS-inspektionspolicyer. Uppdateringsbara objekt är nätverksobjekt som representerar en extern tjänst eller en känd dynamisk lista över IP-adresser, till exempel — Office365 / Google / Azure / AWS IP-adresser och geoobjekt.
Anti-virus använder nu SHA-1 och SHA-256 hotindikationer för att blockera filer baserat på deras hash. Importera de nya indikatorerna från SmartConsole Hotindikatorer-vyn eller Custom Intelligence Feed CLI.
Anti-virus och SandBlast Hottemulering stöder nu inspektion av e-posttrafik över POP3-protokollet, samt förbättrad inspektion av e-posttrafik över IMAP-protokollet.
Anti-virus och SandBlast Hottemulering använder nu den nyintroducerade SSH-inspektionsfunktionen för att inspektera filer som överförs över SCP- och SFTP-protokollen.
Anti-Virus och SandBlast Threat Emulation erbjuder nu förbättrat stöd för SMBv3-inspektion (3.0, 3.0.2, 3.1.1), vilket inkluderar inspektion av multikanalsanslutningar. Check Point är nu den enda leverantören som stödjer inspektion av en filöverföring genom flera kanaler (en funktion som är aktiverad som standard i alla Windows-miljöer). Detta gör det möjligt för kunder att förbli säkra när de arbetar med denna prestandaförbättrande funktion.

4. Identitetsmedvetenhet

Stöd för Captive Portal-integration med SAML 2.0 och tredje part identitetsleverantörer.
Stöd för Identity Broker för skalbar och detaljerad delning av identitetsinformation mellan PDP:er, samt delning över domäner.
Förbättringar av Terminal Servers Agent för bättre skalning och kompatibilitet.

5. IPsec VPN

Konfigurera olika VPN-krypteringsdomäner på en säkerhetsgateway som är medlem av flera VPN-gemenskaper. Detta ger:
Förbättrad sekretess — Interna nätverk avslöjas inte i IKE-protokollsöverenskommelser.
Förbättrad säkerhet och detaljrikedom — Specifika nätverk kan göras tillgängliga i en angiven VPN-gemenskap.
Förbättrad interoperabilitet — Förenklade ruttbaserade VPN-definitioner (rekommenderas när du arbetar med en tom VPN-krypteringsdomän).
Skapa och arbeta sömlöst med en storskalig VPN (LSV)-miljö med hjälp av LSV-profiler.

6. URL-filtrering

Förbättrad skalbarhet och motståndskraft.
Utökade felsökningsfunktioner.

7. NAT

Förbättrad NAT-portallokeringsmekanism — på säkerhetsgateways med 6 eller fler CoreXL brandväggsexemplar, använder alla exemplar samma pool av NAT-portar, vilket optimerar portanvändning och återanvändning.
Övervakning av NAT-portanvändning i CPView och med SNMP.

8. Röst över IP (VoIP)Flera CoreXL-brandväggsexemplar hanterar SIP-protokollet för att förbättra prestanda.

9. Fjärråtkomst VPNAnvänd maskincertifikat för att särskilja mellan företags och icke-företagsresurser samt för att ställa in en policy som tvingar användning av enbart företagsresurser. Tillämpning kan ske antingen före inloggning (endast enhetens autentisering) eller efter inloggning (enhets- och användarautentisering).

10. MobilåtkomstportalagentFörbättrad slutpunktsäkerhet på begäran inom mobilåtkomstportalagenten för att stödja alla större webbläsare. För mer information, se sk113410.

11. CoreXL och Multi-Queue

Stöd för automatisk tilldelning av CoreXL SND:er och brandväggsexemplar som inte kräver en omstart av säkerhetsgatewayen.
Förbättrad användarupplevelse direkt ur lådan — säkerhetsgatewayen ändrar automatiskt antalet CoreXL SND:er och brandväggsexemplar samt Multi-Queue-konfigurationen baserat på den aktuella trafikbelastningen.

12. Kluster

Stöd för Cluster Control Protocol i Unicast-läge som eliminerar behovet av CCP.

Broadcast eller Multicast-lägen:

Cluster Control Protocol-kryptering är nu aktiverad som standard.
Nytt ClusterXL-läge - Aktiv/Aktiv, som stöder klustermedlemmar på olika geografiska platser belägna på olika subnät och har olika IP-adresser.
Stöd för ClusterXL-klustermedlemmar som kör olika programvaruversioner.
Eliminerat behovet av MAC Magic-konfiguration när flera kluster är anslutna till samma subnet.

13. VSX

Stöd för VSX-uppgradering med CPUSE i Gaia Portal.
Stöd för Active Up-läge i VSLS.
Stöd för CPView-statistikrapporter för varje virtuell system.

14. Zero TouchEn enkel Plug & Play-installationsprocess för att installera en enhet — vilket eliminerar behovet av teknisk expertis och att ansluta till enheten för initial konfiguration.

15. Gaia REST APIGaia REST API erbjuder ett nytt sätt att läsa och skicka information till servrar som kör Gaia operativsystem. Se sk143612.

16. Avancerad routing

Förbättringar av OSPF och BGP tillåter nollställning och omstart av OSPF-grannar för varje CoreXL-brandväggsexemplar utan att behöva omstarta den routade demon.
Förbättring av ruttåterställning för bättre hantering av BGP-routinginkonsekvenser.

17. Nya kernelegenskaper

Uppgraderad Linux-kärna
Nytt partitioneringssystem (gpt):
Stöder mer än 2TB fysiska/logiska enheter
Snabbare filsystem (xfs)
Stöd för större systemlagring (testad upp till 48TB)
Prestandaförbättringar relaterade till I/O
Multi-Queue:
Fullt stöd för Gaia Clish för Multi-Queue-kommandon
Automatisk konfiguration "aktiverad som standard"
Stöd för SMB v2/3-mount i Mobile Access-bladet
Tillagt stöd för NFSv4 (klient) (NFS v4.2 är den standardversion av NFS som används)
Stöd för nya systemverktyg för felsökning, övervakning och konfiguration av systemet

18. CloudGuard Controller

Prestandaförbättringar för anslutningar till externa datacenter.
Integration med VMware NSX-T.
Stöd för ytterligare API-kommandon för att skapa och redigera objekt för datacenter-servrar.

19. Multi-Domain Server

Säkerhetskopiera och återställ en individuell domänhanteringsserver på en multi-domänserver.
Migrate a Domain Management Server on one Multi-Domain Server to a different Multi-Domain Security Management.
Migrera en säkerhetshanteringsserver för att bli en domänhanteringsserver på en multi-domänserver.
Migrera en domänhanteringsserver för att bli en säkerhetshanteringsserver.
Återställ en domän på en multi-domänserver, eller en säkerhetshanteringsserver till en tidigare version för ytterligare redigering.

20. SmartTasks och API

Ny autentiseringsmetod för lednings-API som använder en automatiskt genererad API-nyckel.
Nya lednings-API-kommandon för att skapa klusterobjekt.
Central distribution av Jumbo Hotfix Accumulator och hotfixar från SmartConsole eller med ett API gör att man kan installera eller uppgradera flera säkerhetsgateway och kluster parallellt.
SmartTasks — Konfigurera automatiska skript eller HTTPS-förfrågningar som utlöses av administratörens uppgifter, såsom att publicera en session eller installera en policy.

21. DistributionCentral distribution av Jumbo Hotfix Accumulator och hotfixar från SmartConsole eller med ett API gör att man kan installera eller uppgradera flera säkerhetsgateway och kluster parallellt.

22. SmartEventDela SmartView-vyer och -rapporter med andra administratörer.

23. Log ExporterExportera loggar filtrerade enligt fältvärden.

24. Endpoint Security

Stöd för BitLocker-kryptering för fullständig diskryptering.
Stöd för externa certifikat utfärdade av Certifikatmyndigheter för endpoint security-klientens autentisering och kommunikation med Endpoint Security Management Server.
Stöd för dynamisk storlek på Endpoint Security-klientpaket baserat på de valda
funktionerna för distribution.
Policyn kan nu styra nivån av meddelanden till slutanvändare.
Stöd för Persistent VDI-miljö i Endpoint Policy Management.
Vad vi gillade mest (baserat på kundernas uppgifter)

Som ni ser finns det mycket nytt. Men för oss som

systemintegratör , finns det flera intressanta punkter (som också intresserar våra kunder). Vår Topp-10:Det finns nu fullt stöd för IoT-enheter. Det blir allt svårare att hitta ett företag utan sådana enheter.

TLS-inspektion har nu flyttats till ett separat lager. Det är mycket mer bekvämt än nu (i 80.30). Det behövs inte längre att köra det gamla Legacy Dashboard. Dessutom kan man nu använda uppdateringsbara objekt i HTTPS-inspektionspolicyn, såsom Office365, Google, Azure, AWS osv. Det är väldigt praktiskt när man behöver ställa in undantag. Men det finns fortfarande inget stöd för TLS 1.3. Troligtvis kommer man att "komma ifatt" i nästa hotfix.
Betydande förändringar för Anti-Virus och SandBlast. Nu kan protokoll som SCP, SFTP och SMBv3 kontrolleras (för övrigt, denna multikanalsprotokoll kan ingen annan kontrollera).
Betydande förändringar för Anti-Virus och SandBlast. Nu är det möjligt att kontrollera protokoll som SCP, SFTP och SMBv3 (för övrigt, ingen annan kan kontrollera detta multi-protokoll).
En mängd förbättringar rörande Site-to-Site VPN. Nu är det möjligt att konfigurera flera VPN-domäner på en gateway som ingår i flera VPN-gemenskaper. Detta är mycket praktiskt och betydligt säkrare. Dessutom har Check Point äntligen kommit ihåg Route Based VPN och förbättrat dess stabilitet/kompatibilitet något.
En mycket efterfrågad funktion för fjärranvändare har introducerats. Nu kan vi autentisera inte bara användaren utan också enheten som den ansluter från. Till exempel vill vi bara tillåta VPN-anslutningar från företagsenheter. Detta görs självklart med hjälp av certifikat. Det har också blivit möjligt att automatiskt montera (SMB v2/3) filresurser för fjärranvändare med VPN-klient.
Många förändringar i klustrets arbete. Men kanske en av de mest intressanta är möjligheten för kluster där gateways har olika versioner av Gaia. Detta är praktiskt vid planerade uppgraderingar.
Möjligheterna för Zero Touch har förbättrats. En användbar funktion för dem som ofta installerar "små" gateways (till exempel för bankomater).
För loggar stöds nu lagring upp till 48 TB.
Du kan "dela" dina SmartEvent-dashboards med andra administratörer.
Log Exporter tillåter nu förhandsfiltrering av de meddelanden som skickas baserat på nödvändiga fält. Det vill säga endast loggar och händelser som är relevanta kommer att nå dina SIEM-system.

Uppdatering

Många kanske redan överväger att uppgradera. Det är dock bäst att inte skynda. Först måste version 80.40 nå General Availability. Men även efter det är det bäst att vänta tills minst den första hotfixen är tillgänglig.
Många kanske "sitter" kvar på äldre versioner. Jag kan säga att det åtminstone är möjligt (och till och med nödvändigt) att uppgradera till 80.30. Detta är redan ett stabilt och beprövat system!

Du kan också följa våra publikationer (Telegram, Facebook, VK, TS Solution Blog), där du kan hålla dig uppdaterad om nya material om Check Point och andra säkerhetsprodukter.

Endast registrerade användare kan delta i omröstningen. Logga in, tack.